Kvifor ein Azure OpenVPN-tunnel fell omtrent kvart sekstiande sekund

Tunnelen fullfører handtrykket, ber trafikk i omtrent eitt minutt og koplar deretter til på nytt. Den sekvensen utelukkar den vanlege mistenkte, fordi ein brannmur som blokkerer porten, ville ha stansa handtrykket og ikkje sesjonen. Det du har, er usemje om livlegdom: den eine sida bestemte at den andre var blitt stille og reiv ned ein fungerande tunnel. Logglinja seier kva side, og ho vel rettinga.

Les den linja før du rører nokon timer.

Myten: noko i banen blokkerer tunnelen

Viss ein port var blokkert, ville tilkoplinga feile ved starten og bli verande feila. Ein gjentatt syklus tyder på at kontrollmeldingar flyt, at sesjonar blir oppretta, og at noko seinare i samtalen stadig går ut. Blokkering skapar stille, og dette skapar ein rytme.

Rytmen er det nyttige sporet. Timar skapar han; pakketap gjer det sjeldan.

Les årsaka til fråkoplinga før timaren

OpenVPN namngir årsaka si, og kvart namn peikar på eit ulikt undersystem. Session invalidated: KEEPALIVE_TIMEOUT er ein timer som går ut, så samanlikn ping- og ping-restart-verdiar i begge endar. AUTH_FAILED er påloggingsinformasjon eller sertifikatstatus, og inga timerendring hjelper. Ein TLS-feil tyder på at partane aldri nådde keepalive-fasen.

Noter tilkoplingstida, fråkoplingstida og om intervallet er stabilt på sekundet. Den eine målinga skil ein konfigurert tidsplan frå ei tilfeldigheit.

Eit stabilt intervall er ein timer. Eit som driv, er meir truleg eit baneproblem eller ein forskyven sesjon.

To keepalive-timarar som aldri vart samde

Profilar eksporterte frå portalen har nokre gonger framleis linjer som keepalive eller ping-restart kopierte frå ein mal for fellesskapsserver. Gatewayen køyrer si eiga registrering av døde partar og handhevar sine eigne forventningar, og dei to tidsplanane treng ikkje å stemme. Når dei er usamde, startar klienten på nytt etter ein tidsplan gatewayen aldri godtok.

Dei to verdiane er ikkje same kontroll. ping er kor ofte klienten sender eit ekko, og ping-restart er kor lenge han ventar utan å høyre noko før han riv tunnelen ned. Ein profil med kort ping-restart og ein gateway som svarar tregt, vil starte på nytt i kvar stille periode, som er nøyaktig forma på ein eittminutts-syklus.

Den minste endringa på klientsida er å nøytralisere timarane på det øvste nivået i profilen, utanfor kvar inline-blokk:

keepalive 0 0

Lagre, last profilen på nytt, kople til på nytt. Ein sesjon som allereie ligg i minnet, held på dei gamle verdiane, og difor ser endringa nokre gonger ut som om ho ikkje gjorde noko.

Sertifikatnamnet kan flytte seg under føtene dine

Azure-sertifikatautentisering er avhengig av at klienten stolar på namnet gatewayen presenterer i dag. Ei verify-x509-name-linje i ein eldre nedlasting kan feste eit namn som ein gjenoppbygging av gatewayen eller ei sertifikatfornying har endra sidan, og avviket viser seg som ei gjentilkoplingsløkke i staden for ein klar feil. Å slette linja gjenopprettar tilkoplinga, noko som gjer ho til ein god diagnose og ei dårleg permanent løysing, fordi ho også fjernar verifiseringa. Når tunnelen held, gjenopprett linja med namnet gatewayen faktisk presenterer.

Test ein andre klientgenerasjon på same maskin før du redigerer gatewayen. Viss ein klient går i løkke og den andre held, er ikkje profilen problemet.

Kva som skal endrast, og i kva rekkjefølgje

Sjekk deretter for ein forskyven sesjon. To einingar som deler eitt sertifikat, kan skyve kvarandre ut, og resultatet ser periodisk ut fordi begge sider held fram med å kople til på nytt. Samanlikn punkt-til-område-sesjonspostane for same identitet som dukkar opp igjen og igjen.

Test deretter den inaktive banen ved å køyre kontinuerleg trafikk i fleire minutt. Viss falla stoppar medan trafikken flyt, høyrer den viktige timaren til ei NAT-eining eller ein lastbalansar i banen og ikkje til OpenVPN.

Gateway-innstillingar bør først endrast etter desse fire testane.